Seguridad de la Información y Firewall: cobertura en Canoas - RS

El tráfico entre unidades no es navegación

El primer ajuste es conceptual y tiene una consecuencia técnica directa. Cuando un sistema corre en una dirección y se usa en otra, el tráfico entre ellas es interno — aunque físicamente atraviese internet.

Tratado como navegación común, compite en igualdad con descargas, actualizaciones, respaldos y streaming. Tratado como interno, se clasifica, se prioriza y se mide, y pasa a tener un camino garantizado en los momentos de disputa.

La diferencia aparece exactamente en los horarios que más importan: cierre de expedición, cambio de turno, cierre de mes. Son los picos previsibles en los que, sin una regla, el tráfico crítico pierde frente a lo que podía esperar.

La latencia y la pérdida importan más que el ancho de banda

Para una aplicación que hace muchas peticiones pequeñas — y el ERP y los sistemas de gestión son así —, lo que determina la sensación de velocidad es el tiempo de ida y vuelta, no el ancho del canal. Contratar más banda no mejora ese número.

Lo que sí lo mejora es reducir la pérdida y la variación: la pérdida obliga a retransmitir, y cada retransmisión cuesta un viaje completo. Una tasa pequeña de pérdida, que pasa desapercibida en la navegación, degrada visiblemente una aplicación conversacional.

Por eso el SD-WAN mide latencia, pérdida y variación de forma continua, y elige el camino según esos criterios en lugar de la velocidad nominal. Con dos enlaces, el cambio ocurre cuando uno se degrada — no solo cuando se cae.

El segundo camino, dimensionado por lo esencial

La objeción habitual es el costo de un enlace equivalente al principal. No es necesario: el camino secundario existe para sostener lo que no puede detenerse — ERP, expedición, emisión de documentos fiscales, telefonía —, no para replicar el ancho de banda total.

Con esa lógica, una tecnología distinta a la principal vale más que más banda de la misma tecnología, porque falla por otro motivo. Dos enlaces sobre la misma infraestructura física tienden a caerse juntos, y eso anula el propósito.

Segmentar entre unidades, no solo dentro de ellas

Aquí está el punto que la operación multiunidad más deja pasar. Después de interconectar las direcciones, el resultado común es una red única y plana: cualquier dispositivo de la planta alcanza cualquier cosa de la casa matriz, y viceversa.

No es lo deseado. La expedición necesita el ERP, no la carpeta compartida del área financiera. Un terminal de captura necesita hablar con el sistema, no con la estación de la dirección. La regla correcta permite entre unidades solo el tráfico que la operación exige, y niega el resto por defecto.

Eso limita el alcance de un incidente, y es la medida más eficaz en un arreglo distribuido: una estación comprometida en una unidad pasa a ver esa unidad y los sistemas que usa, en lugar de ver la empresa entera.

Borde estandarizado en todas las direcciones

Cuando cada unidad tiene el equipo de borde que dejó la operadora, la política de seguridad es distinta en cada lugar — y nadie sabe exactamente cuál es en ninguno de ellos.

Estandarizar el borde, con el mismo equipo y la misma política administrada desde un punto único, tiene tres efectos: la regla vale igual en todas las direcciones, un cambio se aplica una sola vez, y la unidad más pequeña deja de ser el camino fácil hacia el resto de la red.

Acceso remoto y de proveedores

Una operación industrial tiene proveedores que entran a dar mantenimiento a sistemas y equipos, y tiene gente accediendo desde fuera. Resuelto a las apuradas, eso deja redireccionamientos de puertos abiertos — y el relevamiento inicial en un entorno nunca revisado siempre encuentra algunos todavía activos, creados en una urgencia antigua.

El tratamiento es acceso autenticado con credencial individual, segundo factor, permiso limitado al destino necesario y plazo de vigencia cuando es temporal. Lo individual importa: un acceso compartido no permite saber quién hizo qué, ni revocarlo sin afectar a todos.

Los sectores que más demandan en Canoas

Industria, logística, servicios y comercio minorista forman el perfil de la ciudad. La industria concentra la integración entre sistemas y el acceso de proveedores. La logística depende del enlace para la expedición y el rastreo, con un costo por hora definido. Servicios y comercio pesan en medios de pago y emisión de documentos fiscales, donde la indisponibilidad interrumpe la venta.

Cómo conducimos la implantación

Comienza por mapear lo que existe en cada dirección: enlaces contratados, equipo de borde, reglas heredadas, accesos remotos activos y el tráfico real entre unidades. Un firewall implantado sin ese relevamiento bloquea lo que la operación usa y deja liberado lo que nadie mapeó.

Después viene el diseño — segmentación dentro de cada unidad y entre ellas, política por segmento, clasificación y prioridad del tráfico crítico y estructura de acceso remoto autenticado.

La activación se hace en una ventana acordada con la operación, práctica que mantenemos registrada para esta ciudad, porque una intervención en el borde interrumpe la conexión por algunos minutos. Después de la puesta en marcha, las reglas se ajustan según el tráfico observado y el comportamiento de los enlaces pasa a acompañarse — sin eso, nadie nota cuando el camino secundario deja de funcionar, y solo se le reclamará el día en que el principal se caiga.